VPN-zu-VLAN-Zougang: baut d'Matrix virun de Regelen
Rollen op enger Säit, Servicer op der anerer. Fënnef Kontrollen maachen aus engem vagem VPN-zu-VLAN-Entworf eng Tabell, déi den Eegent vun der Firewall ëmsetze kann.
Fänkt mat der Matrix un, net mat der Firewall-Syntax. Eng Tabell mat Rollen op enger Säit a Servicer op der anerer kann en Applikatiounseegent nokucken, en Sécherheetseegent driwwer diskutéieren an deen ëmsetzen, deen de Gateway huet. Dës Nokuck ass méi bëlleg wéi d'Debugge vu Regelen, iwwer déi sech kee g'eenegt huet.
Eng Stonn schreiwen spuert méi spéit eng Woch Regel-Archeologie. Den Entworf schwätzt driwwer, wien op wéi ee Service kënnt, an dat ass deen Deel, deen eng Ëmnummeréierung iwwerlieft.
Schrëtt 1: nennt d'Rollen éier d'Netzwierker
Fänkt bei de Mënschen un, net beim Switch. Schreift all Grupp op, déi sech aus der Distanz verbënnt, an deen eenzege Saz, dee beschreift, wat déi Grupp mécht, zum Beispill Lagerpersonal, dat Bestandsniveauen liest, oder en Entreprener, deen eng Integratioun ënnerhält. Wa zwee Gruppe gläichen Zougang kréien, sinn se fir dësen Zweck eng Roll.
Hält hei un, wann eng Roll just wéinst engem Organigramm existéiert. Eng Roll ouni eegene Servicebedarf gëtt eng Rei identescher Zellen, an identesch Reie verleeden een, méi spéit fir de Komfort en ganz Subnet ze ginn. Deelt no deem, wat d'Leit maachen, net no deem, wien hir Ausgabe ënnerschreift. Sechs Rolle sinn normalerweis ze vill fir eng kleng Büro, an dräi sinn dacks richteg.
Schrëtt 2: maacht aus all Zell eng Service-Ausso
Eng Zell, an där „Applikatiounen“ steet, ass net testbar. Eng Zell, an där „HTTPS zum ERP-Host op 443, aus dem Personal-Pool“ steet, ass et. Ersetzt all Netzwierknomm duerch en Zil, e Protokoll an e Port, a füügt duerno d'Ofhängegkeet dobäi, ouni déi de Service net funktionéiert, zum Beispill den internen Resolver oder den Identitéitsprovider.
| Check | Passes when | Stop if |
|---|---|---|
| Destination named | Host and port appear in the cell | Cell names a VLAN or a subnet |
| Direction stated | Initiator and responder are both clear | Cell implies two-way access |
| Dependency listed | DNS or identity path is explicit | Whole infrastructure range is granted |
| Negative case written | At least one denied pair is recorded | Only allow rules exist |
D'Richtungskolonn fänkt déi deierst Feeler. D'Erlaabnis fir d'Personal, eng Applikatioun opzemaachen, bedeit net d'Erlaabnis fir Applikatiounsserver, Verbindungen zréck zu de Laptope vum Personal opzemaachen, an eng stateful Regel, déi déi éischt Richtung erlaabt, gëtt dacks gelies, wéi wann se déi zweet erlaabt.
Schrëtt 3: entscheet, wou Identitéit Politik gëtt
Een muss eng authentifizéiert Sitzung an eng Roll ëmwandelen, déi de Gateway duerchsetze kann. Ënnerstëtzt Optiounen enthalen Gruppepolitik vum Authentifikatiouns-Backend, vertrauenswierdeg Sitzungsattributer oder getrennt Adresspools pro Roll. All dräi funktionéieren; e Label, deen de Client schéckt, net. Wielt de Mechanismus, deen ären Gateway dokumentéiert, net deen, deen e Forumsbäitrag beschreift.
Eng Adress ze ginn, déi just esou ausgesäit, wéi wann se zu engem VLAN gehéiert, ass déiselwecht Net-Antwert an engem anere Kostüm. Den Netgate-Guide zu den OpenVPN-Firewallregelen mécht d'Trennung kloer: den Tunnel eropklammen ze loossen ass eng aner Entscheidung wéi den Trafic duerchzeloossen.
Schreift op, wéi ee Mechanismus dir gewielt hutt a wou en konfiguréiert ass. Wann eng Roll sech ännert, ass déi Notiz den Ënnerscheed tëscht enger Ännerung an enger Juegd duerch dräi Interfaceen. Si seet och engem Auditeur, wou en als éischt kucke soll.
Schrëtt 4: oppasst op d'Quelladress, déi den Zil gesäit
D'Weiderleedungspolitik muss um Rand mat der richteger Quell iwwereneestëmmen. Wann de Gateway VPN-Cliente op seng eege Adress iwwersetzt, gesäit all Firewall ënnen drun eng eenzeg Quell a verléiert d'Fäegkeet, pro Roll ze entscheeden. Wann en d'Clientadress erhällt, muss de Réckwee fir dee Pool existéieren.
Test béid Richtungen, éier dir déi final Regelen schreift, a notéiert duerno déi observéiert Quell niewent all Zell. Fuert déiselwecht Kontroll aus zwou verschidde Rollen aus a vergläicht d'Resultat. Wa béid d'Gateway-Adress weisen, ass den Ënnerscheed tëscht de Rollen schonn verluer. Eng Matrix, déi erhälten Adressen unhëlt, während de Gateway Quell-Iwwersetzung mécht, fält bei der éischter ënneschter ACL.
Schrëtt 5: test all Zell, éier dir se ausleet
Maacht aus all erluebter Zell eng representativ Operatioun an aus all verwënnter Zell e negative Fall. Fuert béid vun engem Client an der richteger Roll aus, net vun der Gateway-Konsole, well d'Konsole de Wee ëmgeet, deen dir test.
# allowed: staff role reaches the ERP endpoint
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://erp.internal.example/health
# denied: the same role must not reach a management host
nc -vz -w 3 10.30.5.11 22
# observed source address at the destination
sudo tcpdump -ni any 'tcp port 443 and host 10.30.20.15'En negative Fall, deen sech verbënnt, ass eng Entdeckung, keen Zoufall, an en gehéiert an d'Matrix als feelgeschloen Zell, bis d'Regel verbessert ass. Hält d'Testkommanden niewent der Tabell, sou datt den nächsten Iwwerpréifer se nach eng Kéier leeft, amplaz d'Begrënnung nei opzebauen.
Déi fäerdeg Tabell lieft méi laang wéi de Gateway, fir dee se geschriwwe gouf. Regelen änneren sech mat Firmware a Fournisseur, während d'Rei, déi seet, datt en Entreprener ee Projetsservice erreecht, wouer bleift, bis déi Aarbecht sech ännert.